Le présent cadre de gouvernance définit la démarche adoptée par GreenShield pour régir, protéger, utiliser et gérer les renseignements personnels, y compris les renseignements relatifs à la santé et aux services sociaux (les « Renseignements personnels »), conformément, entre autres, à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), à la Loi sur la protection des renseignements personnels en matière de santé de l’Ontario (LPRPS) ainsi qu’à la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) et à la Loi sur les renseignements de santé et de services sociaux (Loi 5) du Québec. Il a pour objet de faciliter la mise en œuvre des exigences légales en matière de protection des renseignements personnels, de responsabilité, de transparence et de sécurité tout au long du cycle de vie complet des renseignements, de leur collecte à leur destruction.

Le présent cadre s’applique à :

• l’ensemble des membres du personnel, des mandataires, des sociétés affiliées, des représentants, des entrepreneurs et des fournisseurs de services de GreenShield ayant accès à des Renseignements personnels;
• l’ensemble des Renseignements personnels recueillis, stockés, utilisés ou communiqués par GreenShield, quels que soient leur format (électronique ou papier) ou leur emplacement, y compris les renseignements confiés à des tiers.

Conformément aux lois en vigueur, GreenShield a désigné des personnes chargées de veiller à la confidentialité et à la sécurité des Renseignements personnels qu’elle détient. Les rôles clés et leurs responsabilités sont décrits ci-dessous.

‍

Responsable de la protection des renseignements personnels

• Superviser et contrôler le respect de la législation canadienne applicable en matière de protection des renseignements personnels ainsi que des exigences internes en matière de gouvernance.
• Autoriser les divulgations, tenir à jour les registres (p. ex., communications, consentements, incidents) et gérer les demandes de renseignements et les plaintes, les incidents liés à la protection des renseignements personnels, les demandes relatives aux droits individuels, les formations et les évaluations des facteurs relatifs à la vie privée.
• Présider le Comité de sécurité et protection des renseignements personnels.

Direction des ressources technologiques et informatiques (personne désignée chargée de veiller au respect des normes technologiques [responsable de la sécurité de l’information])

• Veiller à ce que les produits ou services technologiques utilisés par GreenShield soient conformes et fonctionnent correctement.
• Superviser la mise en œuvre et le maintien des mesures de sécurité visant à protéger les Renseignements personnels.

Comité de sécurité et protection des renseignements personnels

• Veiller au développement d’une culture de sensibilisation à la sécurité et à la protection des renseignements personnels parmi le personnel de GreenShield à l’échelle de l’entreprise.
• Assurer la supervision des catégories d’accès, des mesures de sécurité, des mécanismes de journalisation et du suivi de la conformité.
• Réaliser des examens annuels, trimestriels et ponctuels portant sur les accès, l’utilisation et les incidents.
• Examiner les politiques de protection des renseignements personnels et de sécurité et recommander leur approbation afin de garantir leur conformité avec les lois applicables, conformément à la charte du Comité.

Personnel de GreenShield et utilisateurs et utilisatrices autorisés, dont les fournisseurs de services de santé

• Accéder aux renseignements et les utiliser strictement selon le principe du besoin de savoir et de la nécessité, respecter les calendriers de conservation et signaler sans délai les incidents liés à la protection des renseignements personnels.

La Politique de confidentialité de GreenShield définit un cadre complet régissant la collecte, l’utilisation, la divulgation et la protection des Renseignements personnels au sein de l’entreprise. Elle réaffirme l’engagement de GreenShield à se conformer à toutes les lois canadiennes applicables en matière de protection des renseignements personnels, tout en respectant les principes reconnus d’équité en matière d’information. La politique définit clairement les responsabilités attribuées à un responsable de la protection des renseignements personnels désigné et à des structures de gouvernance internes, met l’accent sur l’obtention d’un consentement éclairé (explicite ou implicite) et limite la collecte de données au strict nécessaire pour des objectifs bien définis, tels que l’administration des régimes d’assurance collective, le traitement des réclamations, la prestation de services, la prévention de la fraude et l’amélioration des produits.

‍

En outre, la politique :

• précise les types de Renseignements personnels recueillis, utilisés et communiqués;
• indique la manière dont les Renseignements personnels sont protégés par des mesures de sécurité administratives, techniques et physiques;
• précise la manière dont les Renseignements personnels peuvent être communiqués à des parties autorisées, à des fournisseurs de services, à des organismes de régulation ou à des sociétés affiliées, strictement aux fins identifiées et dans les limites autorisées par la loi, sans que la personne concernée en soit informée ou y consente;
• fournit des renseignements aux personnes concernées au sujet de leurs droits d’accès, de correction, de retrait de consentement et de recours aux autorités de régulation ainsi que sur des droits supplémentaires tels que la suppression et la portabilité des données et l’opposition au traitement, le cas échéant;
• comprend un survol des principaux domaines opérationnels, notamment :
  • les pratiques de conservation et de destruction;
  • les transferts transfrontaliers de données, y compris entre provinces;
  • l’utilisation des témoins et du suivi numérique;
  • le traitement des données des personnes mineures;
  • les nouvelles pratiques, telles que l’authentification par reconnaissance vocale, qui garantissent la transparence, la sécurité et la conformité réglementaire tout au long du cycle de vie des renseignements.

Vous pouvez consulter l’intégralité de la Politique de confidentialité ici : https://www.greenshield.ca/fr-ca/politique-de-confidentialite

Le protocole de protection de la vie privée dès la conception de GreenShield définit une approche proactive à l’échelle de l’entreprise visant à intégrer ce concept dans toutes les activités impliquant des Renseignements personnels. Conformément à la législation canadienne applicable en la matière, ce protocole exige que les considérations relatives à la protection des renseignements personnels soient prises en compte dès le départ et tout au long du cycle de vie des systèmes, des processus et des services.

‍

Ce protocole repose sur les sept principes fondamentaux de la protection de la vie privée dès la conception, qui mettent l’accent sur la prévention proactive des risques, la protection de la vie privée comme paramètre par défaut et l’intégration de la protection de la vie privée au niveau de la conception des systèmes sans compromettre leur fonctionnalité. Il favorise la sécurité de bout en bout, la transparence et une approche axée sur l’utilisateur qui accorde la priorité aux droits individuels et à la confiance. Ces principes orientent les pratiques commerciales et la prise de décision à tous les niveaux de l’organisation afin que la protection de la vie privée ne soit pas une considération secondaire, mais bien une exigence opérationnelle fondamentale.

‍

GreenShield met ce protocole en œuvre en effectuant des évaluations des facteurs relatifs à la vie privée visant à :

• cerner et atténuer les risques avant la réalisation de toute initiative impliquant des renseignements personnels, y compris les ententes avec des tiers;
• garantir une gestion sécurisée des renseignements tout au long de leur cycle de vie;
• mettre en place des contrôles d’accès stricts;
• assurer la supervision des fournisseurs de services par le biais d’exigences contractuelles et de procédures de gestion en cas d’atteinte à la vie privée;
• garantir une protection uniforme et conforme des renseignements sur la santé dans l’ensemble des activités.

GreenShield a mis en place des politiques de protection des renseignements personnels et de sécurité afin de garantir la collecte, l’utilisation, la divulgation et la conservation appropriées des Renseignements personnels et de protéger ces renseignements conformément aux exigences légales et réglementaires applicables.

‍

Les points suivants mettent en évidence les éléments clés des contrôles relatifs au cycle de vie en place.

‍

Collecte et utilisation

• Dans la pratique, les Renseignements personnels ne peuvent être recueillis et utilisés qu’à des fins légitimes et explicites autorisées par la loi.
• Le consentement est obtenu au moment de la collecte et précise les motifs pour lesquels GreenShield utilisera et/ou communiquera les Renseignements personnels.
• L’utilisation des renseignements est soumise aux critères de nécessité et de proportionnalité; le consentement ne peut prévaloir sur les exigences de nécessité.

Conservation

• Les Renseignements personnels sont conservés conformément aux calendriers de conservation approuvés ou pendant la durée minimale nécessaire à la réalisation des objectifs pour lesquels ils ont été recueillis.
• Des calendriers de conservation exhaustifs définissent les exigences en matière d’identification, de classification, de conservation, de stockage et de suppression des renseignements.
• Des mesures sont mises en place pour garantir la disponibilité, l’intégrité et la continuité des données (p. ex., des sauvegardes et des tests de restauration).
• Les tiers qui conservent des documents pour le compte de GreenShield sont tenus, en vertu de leur contrat, de respecter les calendriers de conservation.

Divulgation

• Les Renseignements personnels sont divulgués aux fins des services fournis par GreenShield et pour lesquels le consentement a été obtenu.
• La divulgation sans consentement n’aura lieu que dans des circonstances strictement définies (p. ex., sécurité publique, procédures judiciaires), sous réserve d’une évaluation, d’une limitation des données, d’une autorisation et d’une journalisation consignées.

Destruction et anonymisation

• Les Renseignements personnels seront détruits, dépersonnalisés ou anonymisés de manière sécurisée une fois les objectifs atteints, à l’aide de méthodes approuvées adaptées au support et au caractère sensible de ces renseignements.

GreenShield a mis en place un protocole précis décrivant la manière dont elle traite les demandes de personnes concernant leurs droits, conformément aux lois canadiennes en matière de protection des renseignements personnels. Ce protocole garantit que GreenShield continue à traiter les données à caractère personnel de manière transparente, sécurisée et uniforme, en conciliant les droits des personnes avec les obligations légales, opérationnelles et de sécurité.

Il définit des processus clairs pour le traitement des demandes :

• d’accès;
• de correction;
• de retrait du consentement;
• au Québec, de portabilité des données et de contrôle de la divulgation des renseignements.

Le protocole de gestion en cas d’atteinte à la vie privée de GreenShield définit une approche structurée à l’échelle de l’entreprise pour identifier, signaler, évaluer et gérer les incidents liés à la protection des renseignements personnels, conformément aux lois canadiennes applicables en la matière.

‍

Le protocole exige une évaluation formelle fondée sur les risques afin de déterminer si une atteinte à la vie privée présente un risque réel de préjudice important, en tenant compte de facteurs tels que la sensibilité des renseignements et la probabilité d’une utilisation abusive.

‍

Lorsque les seuils sont atteints, GreenShield veille à informer en temps opportun les personnes concernées, les organismes de régulation et, le cas échéant, les tiers, en leur fournissant des renseignements clairs sur l’incident, les mesures d’atténuation mises en œuvre et les mesures recommandées. Pour les incidents liés à la santé, les exigences réglementaires supplémentaires et celles des ordres professionnels en matière de signalement sont prises en compte.

‍

Tous les incidents sont officiellement classés une fois les mesures d’atténuation mises en œuvre et les dossiers sont conservés à des fins d’audit, de production de rapports et d’analyse des tendances. Tous les incidents, qu’il s’agisse ou non d’atteintes confirmées à la vie privée, sont consignés et suivis dans un registre centralisé afin de favoriser la conformité et l’amélioration continue.

‍

Parmi les éléments clés de cette politique figurent le délai imparti au personnel pour signaler les incidents présumés ou confirmés au Bureau de la protection des renseignements personnels ainsi que des directives sur les étapes à suivre pour gérer ces incidents et y réagir, notamment :

• l’enquête sur les incidents;
• la détermination de l’existence ou non d’une atteinte à la vie privée;
• la détermination de la cause première de l’incident;
• l’évaluation des éventuelles obligations de signalement;
• la notification à la haute direction en cas de risque réel de préjudice important;
• la garantie que des mesures correctives appropriées sont prises;
• la tenue d’un registre de chaque incident.

La politique de traitement des plaintes de GreenShield définit un cadre normalisé pour la réception, l’examen, le règlement et la transmission des plaintes de la clientèle, conformément aux exigences législatives et réglementaires applicables, y compris les exigences provinciales et territoriales en matière de traitement des plaintes.

‍

Les plaintes sont d’abord traitées selon un processus de résolution structuré en plusieurs étapes commençant par le Centre de service à la clientèle, puis sont transmises, si nécessaire, à l’équipe de résolution, à la personne responsable des plaintes et à l’ombudsman. Les filières de traitement des plaintes spécialisées suivent des procédures distinctes, conformes aux obligations réglementaires ou professionnelles. Le Bureau des plaintes veille à l’uniformité et à l’équité des procédures en examinant les plaintes transmises, en procédant à des évaluations approfondies et en émettant une réponse officielle de la personne responsable des plaintes, tandis que l’ombudsman assure un examen indépendant et impartial des dossiers non résolus, y compris la clôture de la plainte par une lettre de prise de position finale.

‍

Toutes les plaintes sont enregistrées, suivies et signalées en interne et, le cas échéant, aux organismes de régulation externes dans un souci de transparence, de responsabilité et d’amélioration continue. GreenShield veille à un traitement équitable et axé sur le client, à la formation de son personnel et à la résolution proactive des problèmes tout en assurant une gouvernance solide grâce à des rôles bien définis, des mécanismes de contrôle et une analyse continue des tendances en matière de plaintes, dans une optique de renforcement de la qualité du service et de la conformité.

‍

Vous trouverez des renseignements supplémentaires concernant le processus de résolution des plaintes de GreenShield ici : https://www.greenshield.ca/fr-ca/contact/processus-de-resolution-copy

GreenShield gère un programme complet de sécurité de l’information destiné à protéger la confidentialité, l’intégrité et la disponibilité de ses systèmes, de ses données et de ses applications. Ce programme s’inscrit dans le cadre des meilleures pratiques du secteur et s’appuie sur des politiques officielles, des structures de gouvernance et un suivi continu. Tous les employés et employées, entrepreneurs et parties prenantes sont tenus de respecter ces politiques, qui font l’objet d’une révision et d’une mise à jour régulières afin de tenir compte de l’évolution des risques. Le programme est supervisé par le responsable de la sécurité de l’information et porte notamment sur la gestion des risques, la conformité, l’intervention en cas d’incident et le contrôle des fournisseurs.

‍

Afin de garantir sa résilience et sa préparation, GreenShield dispose de cadres formels d’intervention en cas d’incident, de continuité des activités et de reprise après sinistre, qui sont régulièrement testés et mis à jour. Les risques liés aux fournisseurs et aux tiers font l’objet d’une gestion active grâce à des évaluations structurées et à une surveillance continue.

‍

Le programme de sécurité de GreenShield met l’accent sur des contrôles fondamentaux rigoureux :

• Mesures de sécurité physiques
• Normes d’utilisation acceptable
• Gestion des accès basée sur les rôles
• Protection des renseignements par la classification et le cryptage des données
• Évaluations de sécurité
• Défenses réseau robustes
• Surveillance continue
• Détection proactive des menaces, notamment par des exercices de simulation, la gestion des vulnérabilités et des essais de pénétration
• Destruction sécurisée des renseignements

GreenShield exige que l’ensemble de son personnel suive une formation sur la protection des renseignements personnels et la sécurité dès son arrivée au sein de l’entreprise, puis chaque année par la suite.

‍

La formation sur la protection des renseignements personnels passe en revue les lois canadiennes applicables et leurs exigences, notamment les dix principes d’équité en matière d’information. Elle définit les types de Renseignements personnels et la notion de consentement et donne un aperçu des droits individuels et des obligations des employés et employées, notamment la connaissance et la compréhension de la Politique de confidentialité, le traitement approprié des Renseignements personnels et le signalement des incidents. Des communications supplémentaires sont envoyées à l’ensemble des membres du personnel afin de leur rappeler les bonnes pratiques, de les informer des mises à jour des politiques et des procédures et de leur proposer des articles liés à des événements précis.

‍

La formation à la sécurité garantit que les employés et employées restent informés des menaces éventuelles, des politiques et des meilleures pratiques. Des campagnes de sensibilisation continues permettent de tenir le personnel au courant des dernières tendances en matière de sécurité, des risques émergents et des attentes de l’organisation, en faveur d’une forte culture de la sécurité.

‍

Un contrôle des formations obligatoires sur la protection des renseignements personnels et la sécurité est assuré, et des cours de mise à niveau sur la sécurité sont organisés périodiquement pour que nous puissions garantir le respect des règles et la sensibilisation de l’ensemble du personnel.

Conformément aux principes de responsabilité énoncés dans diverses lois relatives à la protection des renseignements personnels, GreenShield tient à jour :

• un registre des communications et divulgations répertoriant toutes les divulgations autorisées;
• un registre des consentements obtenus auprès des personnes concernées en matière de protection des renseignements personnels et de marketing, y compris les retraits de consentement;
• un registre des plaintes et un registre des incidents liés à la protection des renseignements personnels garantissant la traçabilité, le suivi des interventions et la production de rapports réglementaires, le cas échéant;
• un registre de toutes les demandes d’accès et de rectification des renseignements.

Ce cadre se veut dynamique. Il fait l’objet d’une révision et d’une mise à jour à mesure que les conditions juridiques, réglementaires, opérationnelles ou liées aux risques évoluent, afin d’assurer une conformité continue avec les lois canadiennes applicables, notamment la Loi 5 du Québec et la LPRPSP.